2024-08-15

AuKill (まとめ)

Malware: AuKill **マルウェア(まとめ) **まとめ回避手法: EDR回避 / EDR Bypass 攻撃手法: BYOVD攻撃 / Bring Your Own Vulnerable Driver攻撃

【概要】

攻撃組織は、Process Explorer のバージョン 16.32 の PROCEXP.SYS という名前のドライバーを、Process Explorer ドライバーの正規バージョン (PROCEXP152.sys) と同じ場所にドロップ

【ニュース】

■2023年

◆Ransomware gangs abuse Process Explorer driver to kill security software (BleepingComputer, 2023/04/19 13:46)
[ランサムウェアのギャングがProcess Explorerのドライバを悪用してセキュリティソフトを破壊する]
https://www.bleepingcomputer.com/news/security/ransomware-gangs-abuse-process-explorer-driver-to-kill-security-software/
⇒ https://malware-log.hatenablog.com/entry/2023/04/19/000000_12

◆AuKill マルウェア：悪意のドライバーで EDR を無力化してから攻撃を開始 (IoT OT Security News, 2023/04/21)
https://iototsecnews.jp/2023/04/21/aukill-malware-hunts-kills-edr-processes/
⇒ https://malware-log.hatenablog.com/entry/2023/04/21/000000_6

■2024年

◆ロシアのFIN7が開発、セキュリティシステムを狙う新ツール「AuKill」でランサムウェア攻撃を強化 (innovaTopia, 2024/07/17 20:08)
https://innovatopia.jp/cyber-security/cyber-security-news/39457/
⇒ https://malware-log.hatenablog.com/entry/2024/07/17/000000_1

◆Ransomware gang deploys new malware to kill security software (BleepingComputer, 2024/08/15 14:01)
[ランサムウェア集団、セキュリティ対策ソフトを無効化する新たなマルウェアを展開]
https://www.bleepingcomputer.com/news/security/ransomware-gang-deploys-new-malware-to-kill-security-software/
⇒ https://malware-log.hatenablog.com/entry/2024/08/15/000000

【ブログ】

■2023年

◆Process Explorer のドライバを悪用し、EDR を妨害するマルウェア「AuKill」 (Sophos, 2023/04/19)

ドライバを悪用してセキュリティ製品を無効化する攻撃が増加しています

https://news.sophos.com/ja-jp/2023/04/19/aukill-edr-killer-malware-abuses-process-explorer-driver-jp/
⇒ https://malware-log.hatenablog.com/entry/2023/04/19/000000_14

◆Aukill An Silent EDR Killer Malware (Mohitrajai, 2023/05/29)
https://mohitrajai.medium.com/aukill-an-silent-edr-killer-malware-45f45a276aae
⇒ https://malware-log.hatenablog.com/entry/2023/05/29/000000_2

【公開情報】

■2023年

◆EDR Bypass Technique 'Aukill' - 20230501006 (WA Cyber Security Unit, 2023/05/01)
https://soc.cyber.wa.gov.au/advisories/20230501006-EDR-Bypass-Technique/
⇒ https://malware-log.hatenablog.com/entry/2023/05/01/000000

【図表】

AuKillのタイムライン（Sophos X-Ops）
出典: https://www.bleepingcomputer.com/news/security/ransomware-gangs-abuse-process-explorer-driver-to-kill-security-software/